UZASADNIENIE PROJEKTU USTAWY o usługach zaufania, identyfikacji elektronicznej oraz zmianie ustaw

UZASADNIENIE PROJEKTU USTAWY o usługach zaufania, identyfikacji elektronicznej oraz zmianie ustaw 1. Potrzeba i cel wydania aktu Wejście w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania publicznego w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE (eidas) implikuje nowy porządek prawny w obszarze usług zaufania, co rodzi konieczność dostosowania prawa krajowego do nowych uwarunkowań. Celem regulacji zawartych w ustawie o usługach zaufania, identyfikacji elektronicznej i zmianie niektórych ustaw jest wydanie przepisów w odniesieniu do kwestii wskazanych przez eidas jako pozostające w kompetencji państw członkowskich oraz dokonanie koniecznych do prawidłowej realizacji rozporządzenia eidas zmian w aktach rangi ustawowej. Obecne rozwiązania w polskim porządku prawnym nie przystają do rozporządzenia eidas, w związku z czym niezbędne jest uchylenie ustawy o podpisie elektronicznym, oraz powstrzymanie się, co do zasady, od regulowania tej materii przepisami prawa krajowego. Rozporządzenie eidas wraz z systemem aktów wykonawczych będzie obowiązywać bezpośrednio w krajowym porządku prawnym. W prawie polskim regulowana była dotychczas w sposób pełny jedynie instytucja podpisu elektronicznego (w tym zwłaszcza bezpiecznego podpisu elektronicznego) oraz znakowanie czasem. Rozporządzenie eidas poszerza gamę dostępnych usług oraz nakłada na państwa członkowskie obowiązek ustanowienia nadzoru. Kwestie dotyczące nadzoru usług zaufania oraz notyfikacji systemów elektronicznej identyfikacji stanowią najważniejszą treść nowej krajowej regulacji. Ważną funkcją ustawy jest usunięcie istniejących w krajowych przepisach odwołań do ustawy o podpisie elektronicznym, która zostanie uchylona, dostosowanie terminologii oraz wprowadzenie niezbędnych odwołań do rozporządzenia eidas, w tym stworzenie warunków dla zapewnienia zgodności usługodawców z wymaganiami określonymi przez rozporządzenie eidas oraz raportowania i zgłaszania incydentów w zakresie usług zaufania. Regulacje zawarte w rozporządzeniu eidas dotyczące usług zaufania pozostawiają w kilku obszarach swobodę dla prawa krajowego. Niezbędne jest m.in. określenie na poziomie ustawy porządku instytucjonalnego w sposób określający role poszczególnych instytucji, których pełnienie jest przewidziane rozporządzeniem eidas. Rozporządzenie nakłada na państwa członkowskie wymóg ustanowienia i notyfikowania nadzoru nad usługami zaufania. Ustawa zakłada, że organem nadzoru nad usługami zaufania będzie minister właściwy ds. informatyzacji. Nadzór dotyczył będzie zarówno usług kwalifikowanych, jak i niekwalifikowanych. W niezbędnym zakresie celem zapewnienia efektywności sprawowanego nadzoru ustawa wprowadza kary. Określenie czynów niedozwolonych z punktu widzenia zapewnienia bezpieczeństwa rynku usług zaufania jest analogiczne do zapisów istniejących w dotychczasowej (uchylanej) ustawie o podpisie elektronicznym. Rozporządzenie eidas odsyła do prawa krajowego w zakresie zasad odpowiedzialności cywilnoprawnej dostawców usług zaufania. Co do zasady, odpowiedzialność ta jest uregulowana w Kodeksie Cywilnym, stąd wprowadzenie kompleksowej regulacji w tym zakresie jest bezprzedmiotowe. 1

Rozporządzenie eidas powoduje wprowadzenie do obrotu prawnego nowych usług zaufania, a przez to również nowych pojęć. Zmiany wymaga zatem siatka pojęciowa funkcjonująca dotychczas w wielu aktach prawnych w Polsce, a także niezbędne jest wprowadzenie w polskim systemie prawnym zmian porządkujących oraz zapewniających spójność systemu prawa. Dotyczy to w szczególności zastąpienia bezpiecznego podpisu elektronicznego weryfikowanego ważnym certyfikatem kwalifikowanym przez kwalifikowany podpis elektroniczny oraz znakowania czasem przez kwalifikowany znacznik czasu. 2. Stan faktyczny do uregulowania Celem ustawy jest stworzenie warunków do realizacji rozporządzenia eidas poprzez: 1) dostosowanie krajowego porządku prawnego do uwarunkowań rozporządzenia eidas poprzez wyeliminowanie wszelkich przepisów niezgodnych z rozporządzeniem eidas, np. wyeliminowanie pojęć i instytucji nieznanych rozporządzeniu eidas, dostosowanie terminologii w krajowych aktach do terminów występujących w rozporządzeniu eidas, tj. dokonanie swoistego czyszczenia systemu prawa. Należy przy tym zaznaczyć, że ustawa o usługach zaufania może wprowadzić określone zmiany w innych ustawach, ale nie może i nie wprowadza zmian w aktach niższego rzędu, w tym w rozporządzeniach i aktach prawa lokalnego; 2) uregulowanie tych obszarów, które niezbędne są do umożliwienia stosowania rozporządzenia eidas na gruncie prawa polskiego, tj. m.in. przyporządkowanie ról odpowiednim organom w zakresie kompetencji nadzorczych; 3) Terminologia rozporządzenia eidas została ujednolicona na poziomie europejskim i z tego względu krajowy porządek prawny winien być do niej dostosowany. Zmiany wymagają pojęcia, które nie będą dłużej funkcjonowały w krajowym systemie prawnym, ale same narzędzia zostaną utrzymane. Należy dokonać nowelizacji szeregu aktów prawnych wprowadzające terminologię zgodną z eidas-em.. Na potrzeby opracowania niniejszej ustawy dokonano analizy krajowego porządku prawnego pod kątem wymaganych zmian w związku z wejściem w życie rozporządzenia eidas. Analiza ta doprowadziła do poniższych wniosków. Po pierwsze w krajowym porządku prawnym funkcjonuje bardzo wiele aktów prawnych, których przepisy odsyłają do ustawy o podpisie elektronicznym. Są to najczęściej odesłania do pojęć stosowanych w tej ustawie. Drugą grupą aktów prawnych, które analizowano na potrzeby niniejszej ustawy są akty, które zawierają w swej treści pojęcia odnoszące się do usług zaufania dotychczas występujące w polskim porządku prawnym. Samo uchylenie ustawy o podpisie elektronicznym doprowadziłoby do pojawienia się w polskim porządku prawnym pustych odesłań i pustych definicji w bardzo wielu aktach prawnych dotyczących rozmaitych dziedzin. Tego typu sytuacja jest niezgodna z zasadami legislacji i jako taka niepożądana, gdyż prowadzi ona do zachwiania bezpieczeństwa prawnego i utrudnia, a w wielu przypadkach może nawet uniemożliwić stosowanie podpisu elektronicznego lub innych usług zaufania w kontaktach z organami administracji publicznej oraz w kontaktach między podmiotami niepublicznymi. W związku z tym ustawa zawiera 2

nowelizację wszystkich aktów prawnych pochodzących z krajowego porządku prawnego, które wymagają zmiany w związku z uchyleniem ustawy o podpisie elektronicznym. W polskim porządku prawnym obowiązywała uprzednio ustawa z dnia 18 września 2001 r. o podpisie elektronicznym. Ustawa ta regulowała usługę podpisu elektronicznego, znakowanie czasem oraz przewidywała inne usługi (tzw. usługi nienazwane). W rozporządzeniu eidas mowa jest o podpisie elektronicznym, zaawansowanym podpisie elektronicznym oraz kwalifikowanym podpisie elektronicznym, podczas gdy w ustawie o podpisie elektronicznym użyte zostały analogiczne pojęcia podpisu elektronicznego, bezpiecznego podpisu elektronicznego oraz bezpiecznego podpisu elektronicznego weryfikowanego za pomocą certyfikatu kwalifikowanego. Terminologia rozporządzenia eidas została ujednolicona na poziomie europejskim i z tego względu krajowy porządek prawny winien być do niej dostosowany. Zmiany wymagają pojęcia, które nie będą dłużej funkcjonowały w krajowym systemie prawnym, ale same narzędzia zostaną utrzymane. Należy dokonać nowelizacji szeregu aktów prawnych wprowadzające terminologię zgodną z eidas-em. Rozporządzenie eidas wprowadza do europejskiego porządku prawnego zamknięty katalog unijnych usług zaufania, których ewentualne doregulowanie (wyłącznie w zakresie niezharmonizowanym) zostało pozostawione krajowym porządkom prawnym. Dzisiejsza ustawa o podpisie elektronicznym nie odpowiada już uwarunkowaniom prawnym rozporządzenia eidas. Należy zwrócić uwagę na fakt, że samo rozporządzenie wprowadziło skutek prawny kwalifikowanego podpisu elektronicznego z państw członkowskich wskazując, że jest on równoważny względem podpisu własnoręcznego. Bezpieczny podpis elektroniczny uregulowany jest w sposób, który nie daje jasności odnośnie skutków dla podpisu z zagranicy. 3. Różnice i podobieństwa pomiędzy dotychczasowym a projektowanym stanem prawnym Określając zakres przedmiotowy ustawy, uwzględniono fakt, że rozporządzenie eidas odsyła w bardzo wielu kwestiach do obligatoryjnych, lub w większej ilości fakultatywnych aktów wykonawczych, które mają być wydane przez Komisję Europejską. Dotyczy to przede wszystkim określenia norm, formatów referencyjnych odnoszących się do poszczególnych usług zaufania, czy też określonych procedur. Z tego względu zakres przedmiotowy oraz katalog krajowych aktów wykonawczych do ustawy o usługach zaufania został zawężony do zagadnień regulowanych w prawie krajowym. Rozporządzenie eidas zawiera regulacje dotyczące zarówno samego podpisu elektronicznego, jak też innych usług zaufania takich jak: pieczęć elektroniczna, elektroniczny znacznik czasu, usługa rejestrowanego doręczenia elektronicznego, uwierzytelnianie witryn internetowych. Prawodawca unijny zdecydował się na wydanie jednej regulacji, która obejmuje kilka rozwijających się usług zaufania. Niektóre z nich są jednak regulowane w sposób cząstkowy, co przemawia za wydaniem krajowych aktów prawnych. Prace w tym zakresie będą prowadzone etapowo, gdyż na chwilę obecną nie są znane szczegółowe wymagania techniczne dla niektórych nowych usług. Wprowadzenie krajowo specyficznych uregulowań w zakresie kwalifikowanych lub niekwalifikowanych usług zaufania wymagałoby skierowania aktu do notyfikacji przepisów prawa technicznego, co nie jest możliwe w okresie bezpośrednio poprzedzającym wydanie regulacji. Wprowadzenie narzędzi takich jak e-doręczenia czy e-konserwacja będzie wymagać innej ustawy oraz bardzo szerokich konsultacji z interesariuszami. 3

Ustawa zawiera podstawę prawną dla wydania niezbędnych aktów wykonawczych, które doregulują w sposób szczegółowy zagadnienia ubezpieczenia odpowiedzialności cywilnej oraz krajowej infrastruktury zaufania podobnie jak miało to miejsce w przypadku ustawy o podpisie elektronicznym. W ramach krajowej infrastruktury zaufania (rozdział 3 ustawy) utrzymuje się dotychczasową strukturę opartą o narodowe centrum certyfikacji (NCC) funkcjonujące w ramach Narodowego Banku Polskiego, które wydaje certyfikaty dla kwalifikowanych dostawców usług zaufania, służące do weryfikacji pieczęci i podpisów zaawansowanych, którymi opatrują oni kwalifikowane certyfikaty wydawana dla użytkowników końcowych. To hierarchiczne rozwiązanie sprawdziło się w dotychczasowej praktyce ustanowionej w ustawie o podpisie elektronicznym. Specyficzna pozycja ustrojowa NBP jako centralnego banku państwa, polegająca na niezależności wobec organów państwowych, gwarantuje, że powierzone kluczowe zadanie utrzymywania najwyższego poziomu w strukturze bezpieczeństwa usług zaufania nie będzie podważane za pomocą argumentów wskazujących na zależność tej jednostki od kogokolwiek. Na uwagę zasługuje fakt, że narodowe centrum certyfikacji nie wydaje kwalifikowanych certyfikatów, a jego działalność nie jest działalnością dostawcy usług zaufania w rozumieniu eidas, tylko elementem zapewnienia nadzoru nad dostawcami usług zaufania. Przepisy art. 3 ustawy o usługach zaufania poszerzają uznawalność usług kwalifikowanego podpisu elektronicznego, kwalifikowanej pieczęci elektronicznej oraz kwalifikowanych elektronicznych znaczników czasu o takie usługi świadczone przez dostawców z państw Europejskiego Obszaru Gospodarczego (EOG). Wyjaśnienia wymaga stosowanie w ramach eidas uzupełniających się pojęć osoba prawna i osoba fizyczna. eidas nie przewiduje bowiem takiego bytu jak jednostka nieposiadająca osobowości prawnej, co może powodować wątpliwości, czy takie podmioty mogą posługiwać się pieczęcią elektroniczną, która co do zasady jest narzędziem przewidzianym w eidas dla osób prawnych. Uznano, że nie ma powodu wpisywania do przepisów ustawy, że pojęcie osoba prawna na gruncie eidas należy stosować rozszerzająco na krajowe jednostki nieposiadające osobowości prawnej. Rozstrzygający wątpliwości w tym zakresie jest motyw 68 eidas, który wskazuje na to, by termin osoby prawne oznacza wszystkie podmioty ustanowione na mocy prawa państwa członkowskiego lub podlegające temu prawu, niezależnie od ich formy prawnej. W przeciwnym przypadku rozporządzenie eidas działałoby ograniczająco na podmioty publiczne w Polsce w stosunku do podmiotów w innych krajach UE, co uniemożliwiłoby harmonizację rozwiązań krajowych z europejskimi. Powstałby istotny dysonans poznawczy w zakresie rozumienia eidas, np. w zakresie motywu 60 i 65 eidas. Mając na uwadze wskazanie w art. 24 ust. 2 lit. c eidas, że dostawca usług zaufania w odniesieniu do ryzyka związanego z odpowiedzialnością za szkody wyrządzone w związku ze świadczeniem tych usług utrzymuje dostateczne zasoby finansowe lub dysponuje stosownym ubezpieczeniem od odpowiedzialności zgodnie z prawem krajowym, wskazano w art. 28 projektu, że wymaga się zawarcia umowy ubezpieczenia. W upoważnieniu do wydania rozporządzenia w sprawie szczegółowego zakresu ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone odbiorcom usług zaufania powstałe w okresie świadczenia usług zaufania wskazano, że należy wziąć pod uwagę dostępność tego rodzaju usług ubezpieczenia i specyfikę działalności prowadzonej przez kwalifikowanych dostawców usług zaufania. eidas wprowadza bowiem nowe rodzaje usług zaufania, których świadczenie nie ma jeszcze miejsca, a w przypadku rozpoczęcia świadczenia takich usług liczba podmiotów objętych takim ubezpieczeniem nie będzie duża. To może powodować, że dostępność ubezpieczeń 4

w tym sektorze może być uzależniona od rodzaju świadczonych usług zaufania i ich niemasowego charakteru. Szczególnego wyjaśnienia wymaga natychmiastowa wykonalność decyzji o wykreśleniu kwalifikowanego dostawcy usług zaufania z rejestru oraz decyzja o wykreśleniu wpisu kwalifikowanej usługi zaufania z rejestru wydana przez organ nadzoru. Celem tego przepisu jest nie tylko zapewnienie dbałości o utrzymywanie aktualnych list TSL wynikające z Decyzji wykonawczej Komisji (UE) 2015/1505 z dnia 8 września 2015 r. ustanawiająca specyfikacje techniczne i formaty dotyczące zaufanych list zgodnie z art. 22 ust. 5 rozporządzenia eidas. Należy przy tym zauważyć, że wydanie takiej decyzji możliwe jest na podstawie przesłanek określonych w art. 25 projektu, a zatem wyłącznie w przypadkach, gdy sam dostawca usług zaufania tego chce, gdy w ogóle zaprzestał on działalności, w przypadku wykorzystywania certyfikatów dostawcy usług zaufania w sposób wykraczający poza zakres ich stosowania oraz w przypadkach, o których mowa w art. 20 ust. 3 eidas. Taki katalog przyczyn zapewnia, że na liście TSL nie będzie usług zaufania, które faktycznie nie będą już bezpieczne, a które dostawca usług walidacji za takie będzie uznawał - i co za tym idzie, wydawał nieadekwatne do sytuacji zaświadczenia walidacyjne. eidas wprowadza w stosunku do uchylanej dyrektywy 1999/93/WE, oprócz szerokiego pakietu usług zaufania, do których zalicza się: a) tworzenie, weryfikację i walidację podpisów elektronicznych, pieczęci elektronicznych lub elektronicznych znaczników czasu, usług rejestrowanego doręczenia elektronicznego oraz certyfikatów powiązanych z tymi usługami; lub b) tworzenie, weryfikację i walidację certyfikatów uwierzytelniania witryn internetowych; lub zupełnie nowy element, którego nie zalicza się do usług zaufania. Tą nową jakością jest identyfikacja elektroniczna dla potrzeb realizacji usług online. Celem jest zapewnienie posiadaczowi środka identyfikacji elektronicznej wydanego w jednym kraju członkowskim, możliwości skorzystania z publicznych usług online w innych krajach członkowskich. Wiele usług online nie musi bowiem wymagać użycia podpisu elektronicznego, wystarczy że osoba fizyczna posługująca się określonymi danymi umożliwiającymi jej jednoznaczną identyfikacją zostanie dobrze i bez wątpliwości rozpoznana przez system teleinformatyczny będzie mogła skorzystać z szeregu usług, jakie są w ramach tego systemu oferowane, w szczególności nie podpisując dokumentów elektronicznych, tylko wydając określone dyspozycje jako uwierzytelniony w systemie użytkownik. Przy założeniu, że dochowano należytej staranności dla zapewnienia bezpieczeństwa całego systemu identyfikacji elektronicznej na odpowiednim poziomie, środki identyfikacji elektronicznej wydawane w ramach tego systemu powinny zapewniać dostęp do usług publicznych w całej UE wymagających określonego poziomu bezpieczeństwa. Dzięki temu obywatele UE nie będę musieli zabiegać o wydawanie zagranicznych środków identyfikacji wystarczy im środek wydany w kraju, pod warunkiem, że system, w ramach którego został wydany, został notyfikowany w ramach odpowiedniej procedury określonej w eidas. Rozdział II eidas wskazuje ramy dla wzajemnego uznawania systemów identyfikacji elektronicznej, określa poziomy bezpieczeństwa takich systemów, wskazuje odpowiedzialność za naruszanie bezpieczeństwa takich systemów oraz nakłada na państwa członkowskie obowiązek współpracy w tym zakresie. 5

Przepisy dostosowujące do rozdziału II eidas określono w rozdziale 8 ustawy. Art. 38 jednoznacznie przesądza o istnieniu tzw. krajowego węzła eidas, czyli punktu przyłączenia umożliwiającego sprzężenie krajowej infrastruktury identyfikacji elektronicznej w Polsce z krajowymi infrastrukturami służącymi do identyfikacji elektronicznej innych państw członkowskich. Kluczowa rola takich węzłów w procesie transgranicznego uwierzytelniania osób w usługach online w UE została wskazana w Rozporządzeniu wykonawczym komisji (UE) 2015/1501 z dnia 8 września 2015 r. w sprawie ram interoperacyjności wydanym na podstawie art. 12 ust. 8 eidas. Jednocześnie wskazuje się, że funkcjonowanie krajowego węzła identyfikacji eidas zapewnia Minister właściwy do spraw informatyzacji, co efekcie w sposób jednoznaczny ustala odpowiedzialność i kompetencje w tym zakresie. Krajowy węzeł identyfikacji eidas będzie pełnił podwójną rolę: 1. będzie pośredniczył w uwierzytelnianiu posiadaczy zagranicznych środków identyfikacji elektronicznej wydanych w ramach notyfikowanych systemów identyfikacji w krajowych usługach online; 2. będzie pośredniczył w uwierzytelnianiu posiadaczy krajowych środków identyfikacji elektronicznej w zagranicznych usługach online, w przypadku gdy system identyfikacji w ramach którego środki tego zostały wydane będzie notyfikowany. Podsumowując, krajowy węzeł eidas będzie stanowił niezbędną podstawę do notyfikowania polskiego systemu identyfikacji elektronicznej, bez względu na to, jaki system zostanie wskazany. Konsekwentnie w art. 39 wskazuje się Ministra właściwego do spraw informatyzacji jako koordynującego na poziomie krajowym działania na rzecz współpracy z państwami członkowskimi UE i EOG w sprawach dotyczących systemów identyfikacji elektronicznej. Takie działania mają być prowadzone zgodnie z art. 12 ust. 5 i 6 eidas. Art. 39 nakłada także obowiązek zapewnienia obsługi pojedynczego punktu kontaktowego, o którym mowa w art. 3 Decyzji Wykonawczej Komisji (UE) 2015/296 z dnia 24 lutego 2015 r. ustanawiającej proceduralne warunki współpracy między państwami członkowskimi w zakresie identyfikacji elektronicznej. W związku z tym, że eidas pozwala na zachowanie swobody państw członkowskich w podjęciu decyzji czy w ogóle chcą notyfikować Komisji krajowy system identyfikacji elektronicznej oraz pozostawia państwom członkowskim wybór tego, czy notyfikować Komisji jeden czy więcej systemów identyfikacji, jak również czy należy zaangażować w tym celu sektor prywatny w art. 40 określono ramy postępowania dla przeprowadzenie procedury notyfikacji w tym zakresie. Przepisy art. 40 nie wykluczają możliwości zgłoszenia do notyfikacji więcej niż jednego systemu jak również nie wykluczają zaangażowania sektora prywatnego, jednakże i w tym przypadku wskazuje się na kluczową rolę ministra właściwego ds. informatyzacji. Rola ministra ma istotne znaczenie, ponieważ zgodnie z art. 11 eidas notyfikujące państwo członkowskie jest odpowiedzialne za szkody wyrządzone, w sposób zamierzony lub z powodu zaniedbania, osobie fizycznej lub prawnej w związku z niewypełnieniem swoich obowiązków w tym zakresie. W art. 41 zdecydowano, że to podmioty udostępniające usługi online będą określały wymagane poziomy bezpieczeństwa dla środków identyfikacji elektronicznej, niezbędne dla zrealizowania świadczonych przez nie usług. Przepis ten będzie miał znaczenie tylko w przypadku, gdy z przepisów odrębnych nie będzie wynikało, że dla realizacji określonej usługi jest wymagany krajowy środek identyfikacji elektronicznej wydany w ramach notyfikowanego systemu identyfikacji elektronicznej na określonym poziomie. Na przykład, gdy w przepisach odrębnych będzie określone, że dla realizacji usługi wystarczy użycie 6

profilu zaufanego epuap, a jednocześnie profil ten będzie notyfikowany na średnim poziomie bezpieczeństwa, to będzie znaczyło, że wszystkie notyfikowane środki identyfikacji elektronicznej notyfikowane w KE na poziomie średnim i wysokim muszą być w tej usłudze uznawane. Mając na uwadze, że środki identyfikacji elektronicznej wydawane w ramach notyfikowanych systemów identyfikacji elektronicznej w usługach online będą stanowiły elektroniczny odpowiednik dowodu tożsamości, w art. 42 wskazuje się na odpowiedzialność stron wydających środki identyfikacji elektronicznej oraz stron przeprowadzających procedurę uwierzytelniania. Rozporządzenie eidas wskazuje na odpowiedzialności w tym zakresie zgodnie z krajowymi przepisami dotyczącymi odpowiedzialności. Mając to na uwadze wskazano, że dla tych celów stosuje się przepisy Kodeksu cywilnego. Art. 43 dookreśla kwestie związane z informowaniem państw członkowskich i Komisji o naruszeniu bezpieczeństwa notyfikowanych systemów identyfikacji elektronicznej. Mając na uwadze, że naruszenie bezpieczeństwa takiego systemu może mieć istotne znaczenie dla bezpieczeństwa tożsamości obywateli ustalono, że tego rodzaju informacje przekazuje się niezwłocznie ministrowi właściwemu do spraw informatyzacji i wyłącznie drogą elektroniczną. Ponadto, pozostawiono ministrowi możliwość dookreślenia sposobu przekazywania tego rodzaju informacji w Biuletynie Informacji Publicznej. Celem tego rozwiązania jest umożliwienie sprawnego dostosowania się do ewentualnych standardów struktury takiej informacji i sposobów jej zabezpieczenia, usprawniających proces informowania o naruszeniach oraz jednocześnie zabezpieczających przed rozpowszechnieniem informacji, która mogłaby dodatkowo zmniejszyć bezpieczeństwo systemu identyfikacji elektronicznej. 4. Przewidywane skutki prawne Ustawa przenosi nadzór nad usługami zaufania oraz dokonuje jego wzmocnienia poprzez przyznanie nowych kompetencji. Ustawa umożliwi zminimalizowanie ryzyka kolizji rozporządzenia eidas z krajowym systemem prawnym. Polska jako państwo członkowskie Unii Europejskiej powinna dostosować prawo krajowe do rozporządzenia eidas tak, aby rozporządzenie to mogło być bez przeszkód stosowane w Polsce od 1 lipca 2016 roku. Oznacza to, że organy administracji centralnej odpowiedzialne za określone działy administracji rządowej, winny dokonać wszelkich wymaganych zmian i zapewnić wejście ich w życie najpóźniej z dniem 1 lipca 2016 r. Ustawa o usługach zaufania nakłada wymóg zapewnienia skuteczności w krajowym porządku prawnym podpisów kwalifikowanych (art. 25 ust. 3 eidas), kwalifikowanych pieczęci elektronicznych (art. 35 ust. 3 eidas) oraz kwalifikowanych znaczników czasu (art. 41 ust. 3 eidas). Przepisy rozciągają wymóg obsłużenia usług zaufania z państw członkowskich również na usługi z obszaru EOG. Przepis art. 3 ustawy wskazuje, że kwalifikowane podpisy elektroniczne, kwalifikowane pieczęci elektroniczne i kwalifikowane elektroniczne znaczniki czasu zgodnie z art. 25 ust. 3, art. 35, ust. 3 i art. 41 ust. 3 wymagają uznawania, o ile pochodzą z UE lub EOG. Nie jest celem tego przepisu wprowadzenie nakazu uznawania w Polsce pozostałych usług z UE i Europejskiego Obszaru Gospodarczego, np. kwalifikowanej usługi rejestrowanego doręczenia elektronicznego, bo eidas nie nakłada takiego obowiązku. Przede wszystkim przepis powyższy wskazuje na konieczność uznawania usług zaufania zarówno z UE, 7

jak i z państw należących do EOG. Jest to ważna wskazówka przy implementacji technicznej w systemach teleinformatycznych. Unijne prace nad objęciem EOG rozporządzeniem eidas są już rozpoczęte (wymaga to wyraźnego zapisania, gdyż nie wynika to z treści samego rozporządzenia) zob. http://www.efta.int/eea-lex/32015d0296. Wpisanie wszystkich usług do art. 3 ustawy oznaczałoby konieczność ich wykorzystywania od 1 lipca 2016 r., co wykracza poza wymagania eidas. 4.1. Cel zmian i czym są podyktowane Zmiany w przepisach obowiązujących mają na celu przede wszystkim ich bieżące dostosowanie do nowego aparatu pojęciowego, jakim posługuje się eidas, w taki sposób by zapewnić nie tylko spójność z eidas, ale i ciągłość działania istniejących usług elektronicznych wykorzystujących środki identyfikacji elektronicznej oraz usługi zaufania. W stosunku do uchylanej dyrektywy 1999/93/WE zmieniała się definicja podpisu elektronicznego, a ponadto zdefiniowano nowe pojęcia, które są używane w przepisach krajowych w innym znaczeniu niż zdefiniowano to w eidas. Zmiany przedstawia tabela poniżej: Rozporządzenie eidas podpis elektroniczny oznacza dane w postaci elektronicznej, które są dołączone lub logicznie powiązane z innymi danymi w postaci elektronicznej, i które użyte są przez podpisującego jako podpis (art. 3 pkt 10) kwalifikowany podpis elektroniczny oznacza zaawansowany podpis elektroniczny, który jest składany za pomocą kwalifikowanego urządzenia do składania podpisu elektronicznego i który opiera się na kwalifikowanym certyfikacie podpisu elektronicznego (art. 3 pkt 12) identyfikacja elektroniczna oznacza proces używania danych w postaci elektronicznej identyfikujących osobę, unikalnie reprezentujących Dyrektywa 1999/93/WE podpis elektroniczny" oznacza dane w formie elektronicznej dodane do innych danych elektronicznych lub logicznie z nimi powiązane i służące jako metoda uwierzytelnienia (art. 2 pkt 1) w art. 5 ust.1 wskazano na zaawansowane podpisy elektroniczne oparte o kwalifikowany certyfikat i złożone za pomocą bezpiecznego urządzenia służącego do składania podpisu Ustawa z dnia 18 września 2001 r. o podpisie elektronicznym podpis elektroniczny) - dane w postaci elektronicznej, które wraz z innymi danymi, do których zostały dołączone lub z którymi są logicznie powiązane, służą do identyfikacji osoby składającej podpis elektroniczny (art. 3 pkt 1) odpowiednikiem jest wskazanie w art. 5 ust. 1: 1. Bezpieczny podpis elektroniczny weryfikowany przy pomocy ważnego kwalifikowanego certyfikatu stanowi dowód tego, że został on złożony przez osobę określoną w tym certyfikacie jako składającą podpis elektroniczny 8

osobę fizyczną lub prawną, lub osobę fizyczną reprezentującą osobę prawną (art. 3 pkt 1) uwierzytelnianie oznacza proces elektroniczny, który umożliwia identyfikację elektroniczną osoby fizycznej lub prawnej, lub potwierdzenie pochodzenia oraz integralności weryfikowanych danych w postaci elektronicznej (art. 3 pkt 5) środek identyfikacji elektronicznej oznacza materialną lub niematerialną jednostkę zawierającą dane identyfikujące osobę i używaną do celów uwierzytelniania dla usługi online (art. 3 pkt 2) Przede wszystkim należy zwrócić uwagę na fakt, że podpis elektroniczny to już nie są dane służące jako metoda uwierzytelnienia tyko dane służące do podpisywania, tym bardziej, że uwierzytelnianie zyskało odrębną definicję. Odnosząc się do definicji podpisu z uchylanej ustawy o podpisie elektronicznym należy podkreślić, że choć trudno zaprzeczyć, iż podpis elektroniczny (usługa zaufania) nadal będzie pozwalał na zidentyfikowanie osoby składającej taki podpis, to jednak w usługach online, zgodnie z definicją będą temu służyły środki identyfikacji elektronicznej, które usługami zaufania nie są. 4.2. Wprowadzenie pojęcia kwalifikowany podpis elektroniczny Powyższe zmiany znaczeniowe, choć niewielkie, spowodowały konieczność dostosowania przepisów posługujących się pojęciem bezpieczny podpis elektroniczny weryfikowany przy pomocy ważnego kwalifikowanego certyfikatu równoważnym znaczeniowo pojęciem kwalifikowany podpis elektroniczny. W przypadku, gdy przepisy prawa wymagają bezpiecznego podpisu elektronicznego zaproponowano, że co do zasady wymóg ten zostanie zastąpiony również pojęciem kwalifikowany podpis elektroniczny, mając na uwadze, że jest on najbliższy pojęciowo podpisowi kwalifikowanemu. eidas nie posługuje się bowiem pojęciem równoważnym znaczeniowo. Zaawansowany podpis elektroniczny w znaczeniu eidas nie musi być bowiem składany za pomocą tzw. bezpiecznych urządzeń służących do składania podpisu elektronicznego. Jednakże w przypadku, gdy wymóg wprost dotyczył podpisu elektronicznego weryfikowanego certyfikatem wystawianym przez Ministra Sprawiedliwości (jak w ustawie z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym), to w tym przypadku posłużono się pojęciem zaawansowany podpis elektroniczny. 4.3. Wprowadzenie pojęcia podpis elektroniczny potwierdzony profilem zaufanym epuap 9

Szerszy zakres zmiany niż tylko wprowadzenie pojęcie kwalifikowanego podpisu elektronicznego wprowadzono do ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2014 r. poz. 1114). By nie było wątpliwości że podpis potwierdzony profilem zaufanym epuap jest podpisem elektronicznym w rozumieniu eidas, zdefiniowano go jako podpis elektroniczny potwierdzony profilem zaufanym epuap. Dzięki temu zabiegowi stanie się również jednoznaczne, że podpis potwierdzony profilem zaufanym epuap nie jest zaawansowanym podpisem elektronicznym, co będzie miało znaczenie dla stosowania art. 27 eidas wymagającym uznawania w publicznych usługach online, w których wymaga się takiego podpisu - zaawansowanych podpisów elektronicznych w formatach lub wykorzystujących metody określone w aktach wykonawczych wydanych przez Komisję na podstawie art. 27 ust. 5 eidas. Zmiana ta spowodowała konsekwentnie odpowiednie zmiany w przepisach wskazujących na użycie podpisu potwierdzonego profilem zaufanym epuap, jednakże nie dotyczy używania samego profilu zaufanego epuap jako środka identyfikacji elektronicznej, o czym mowa w art. 20a ust.1 ustawy o informatyzacji. Ponadto, dostosowując przepisy do eidas wskazano, że w celu zapewnienia integralności i autentyczności wykonania operacji przez system epuap w celu dołączenia podpisu elektronicznego potwierdzonego profilem zaufanym epuap wskazano, że nie używa się już podpisu systemowego epuap, tylko zdefiniowanej w eidas pieczęci elektronicznej. 4.4. Zdefiniowanie pojęcia autoryzacja Kolejną zmianą w ustawie o informatyzacji jest zdefiniowanie pojęcia autoryzacja używanego w przepisach prawa (w tym w samej ustawie o informatyzacji i przepisach wykonawczych), ale także w dokumentach opisujących zasady działania usług elektronicznych, rozumianego dwojako: - przydzielenie osobie fizycznej lub prawnej, uprawnień w systemie teleinformatycznym po jej pozytywnym uwierzytelnieniu w tym systemie, - potwierdzenie woli realizacji czynności w postaci elektronicznej przez uwierzytelnionego użytkownika za pomocą dodatkowych danych, np. ostateczne zatwierdzenie chęci podpisania podania lub wniosku w postaci elektronicznej za pomocą jednorazowego kodu operacji tzw. OTP (od ang. one time password). Celem tego przepisu jest wskazanie, że znaczenie pojęcia autoryzacja może być zależne od kontekstu jego użycia a nie jednoznaczne. 4.5. Wskazanie jakie środki identyfikacji elektronicznej są wymagane dla potrzeb uwierzytelnienia użytkowników systemu teleinformatycznego korzystających z usług online udostępnianych przez podmioty publiczne. Zmianą niezwiązaną z podpisem elektronicznym tylko identyfikacją elektroniczną i uwierzytelnianiem jest zmiana art. 20a ust. 1. Dotąd przepis ten wskazywał, że identyfikacja użytkownika systemów teleinformatycznych udostępnianych przez podmioty publiczne następuje przez zastosowanie kwalifikowanego certyfikatu przy zachowaniu zasad przewidzianych w ustawie o podpisie elektronicznym lub profilu zaufanego epuap. Takie wskazanie jest adekwatne w odniesieniu do definicji podpisu elektronicznego mówiącej, że podpis elektroniczny służy do identyfikacji osoby go składającej. W zmianach dostosowujących do eidas wzięto pod uwagę, kilka elementów: 10

1) Zgodnie z eidas, co do zasady, do identyfikacji użytkowników w usługach online używa się środków identyfikacji elektronicznej a nie certyfikatów kwalifikowanych, 2) Przepis w dotychczasowym brzmieniu mówi, o identyfikacji w systemach teleinformatycznych udostępnianych przez podmioty publiczne a eidas odnosi się do identyfikacji w usługach online, 3) Mając na uwadze, że celem użycia środka identyfikacji elektronicznej jest zgodnie z eidas uwierzytelnienie dla potrzeb usługi online, jak również, że celem art. 20a ust. 1 jest właśnie wskazanie środków identyfikacji elektronicznej umożliwiających uwierzytelnienie w systemie teleinformatycznym, zmieniono redakcję przepisów, wskazując, jakich środków identyfikacji elektronicznej wymaga się dla uwierzytelniania, 4) W szczególności utrzymano możliwość użycia do uwierzytelnienia kwalifikowanego certyfikatu podpisu elektronicznego, mając na uwadze potrzebę utrzymania ciągłości usług opartych dotychczas na takim certyfikacie. Podobna zmiana dotyczy art. 3f 1 ustawy Ordynacja podatkowa. 4.6. Wskazanie, że podania wnoszone w postaci elektronicznej co do zasady się podpisuje (opatruje podpisem) a nie uwierzytelnia Kolejną grupą zmian inną niż te dotyczące wprowadzenia pojęcia kwalifikowanego podpisu elektronicznego oraz podpisu elektronicznego potwierdzonego profilem zaufanym epuap jest wskazanie w kodeksie postępowania administracyjnego oraz odpowiednio w ordynacji podatkowej w przepisach, w których użyto pojęcia uwierzytelnianie w odniesieniu do podań wniesionych w formie dokumentu elektronicznego (art. 63 3a pkt i odpowiednio art. 168 3a pkt 1), że podania się po prostu podpisuje, a nie uwierzytelnia. Podobna zmiana dotyczy podpisywania pełnomocnictw przez osoby udzielające pomocnictwa. Także wskazano, że w tym przypadku mamy do czynienia z podpisywaniem a nie z uwierzytelnieniem. Zachowano jednak to pojęcie w odniesieniu do uwierzytelniania treści dokumentu wystawionego przez osobę trzecią (art. 33 3a i art. 220 kpa oraz odpowiednio art. 138a 5 i art. 306d 3 ordynacji podatkowej). 4.7. Inne poprawki dostosowujące Kolejną grupą przepisów zmienianych jest usunięcie wymagania podania danych do weryfikacji podpisu elektronicznego przez rzeczników patentowych, radców Prokuratorii Generalnej, radców prawnych i prokuratorów w przypadku komunikowania się z sądem przy wykorzystaniu kwalifikowanego podpisu elektronicznego. Zgodnie z eidas kwalifikowany podpis elektroniczny weryfikuje się nie na podstawie danych udostępnionych przez podpisującego, ale przez stronę trzecią (kwalifikowanego dostawce usług zaufania). Z ustawy o swobodzie działalności gospodarczej usunięto wymóg mówiący o tym, że podpis elektroniczny może wskazywać na jednoznaczną identyfikację czasu przesłania wniosku, który zgodnie z art. 27 ust. 7 może być przesłany następnego dnia po jego podpisaniu. Podobna zmiana dotyczy art. 26 ust. 4. W ustawie o substancjach zubożających warstwę ozonową poprawiono redakcję przepisów w miejscach gdzie wymagało się opatrywania podpisem elektronicznym nie tyle wniosków i pism w postaci elektronicznej, ale opatrywania podpisem elektronicznym postaci tych wniosków i pism. Na przykład, przepis art. 9 ust. 6 nakładający na przedsiębiorstwa, które uzyskały wpis do rejestru obowiązek informowania ministra właściwego do spraw 11

środowiska droga elektroniczną o jej zaprzestaniu obecnie zredagowany jest następująco: [Przedsiębiorstwa] są obowiązane poinformować o tym fakcie ministra właściwego do spraw środowiska, w postaci elektronicznej opatrzonej bezpiecznym podpisem elektronicznym. Proponowana zmiana zakłada, że nie podpisuje się postaci elektronicznej tylko pismo w postaci elektronicznej. W ustawie z dnia 27 marca 2003 r. o planowaniu i zagospodarowaniu przestrzennym uporządkowano przepisy w art. 18 ust. 3 pkt 3, przeredagowując ich obecnie brzmienie, które może powodować wątpliwości. Obecnie bowiem wskazuje się, że za wniesione na piśmie uwagi uznaje się również uwagi wniesione w postaci elektronicznej: 1) opatrzone bezpiecznym podpisem elektronicznym weryfikowanym przy pomocy ważnego kwalifikowanego certyfikatu w rozumieniu ustawy z dnia 18 września 2001 r. o podpisie elektronicznym (Dz. U. z 2013 r. poz. 262 oraz z 2014 r. poz. 1662) lub 2) opatrzone podpisem potwierdzonym profilem zaufanym epuap w rozumieniu przepisów ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2014 r. poz. 1114) lub 3) za pomocą elektronicznej skrzynki podawczej w rozumieniu przepisów ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. Ta redakcja przepisów wymienia w opcjach dwie różne klasyfikacje: sposób podpisywania i sposób doręczania, co powoduje, że nie wiadomo jak doręczać dokumenty opisane w pkt 1 i 2 (choć jak można przypuszczać zgodnie z pkt 3 na elektroniczną skrzynkę podawczą, a nie np. dostarczając płytę CD z uwagami podpisanymi kwalifikowanym podpisem elektronicznym) oraz nie wiadomo jak podpisywać dokumenty doręczane w sposób opisany w pkt 3 (choć można przypuszczać, że w sposób opisany w pkt 1 i 2, a nie w ogóle bez podpisu). Przepis dostosowujący do eidas zawarty w projekcie ustawy o usługach zaufania od razu porządkuje tę niepewność. Wyjątkiem od reguły dostosowującej do eidas jest poprawka w art. 4 ust. 5 ustawy o petycjach obecnego przepisu stanowiącego obecnie, że petycja ( ) może być opatrzona bezpiecznym podpisem elektronicznym ( ). Wskazuje się, że tak jak w przypadku petycji na papierze powinna ona być podpisana podpisem elektronicznym (kwalifikowanym podpisem elektronicznym lub podpisem elektronicznym potwierdzonym profilem zaufanym epuap). 4.8. eidas jako impuls do zmian w świadczeniu usług elektronicznych Celem zmian wprowadzanych ustawą o usługach zaufania nie jest modyfikacja przepisów prawa ingerująca w dotychczasowy sposób świadczenia usług elektronicznych, wprowadzając np. obowiązek stosowania nowych usług zaufania, które przewiduje eidas (tj. między innymi pieczęci elektronicznej oraz usług rejestrowanego doręczenia elektronicznego). Mając na uwadze, że przepisy eidas stosuje się bezpośrednio i co za tym idzie wdrażająca ustawa o usługach zaufania nie nakłada ograniczeń w tym zakresie, nowe usługi zaufania będą mogły być wykorzystywane wszędzie tam, gdzie przepisy odrębne nie stanowią inaczej. Zasadnicze zmiany wykorzystujące nowe możliwości, jakie daje eidas, zostaną zrealizowane w ramach przepisów odrębnych, gdyż będzie to wymagało szerokich konsultacji, zarówno z potencjalnymi dostawcami nowych usług elektronicznych, w tym usług zaufania, które mogłyby być z powodzeniem wykorzystywane przez podmioty publiczne i przedsiębiorców dla świadczenia kolejnych usług, jak i z odbiorcami tych usług. 12

Szeroki potencjał, jaki stwarza eidas dla umożliwienia rozwoju nowoczesnych, wygodnych i jednocześnie bezpiecznych usług elektronicznych opartych na wiarygodnych środkach identyfikacji elektronicznej oraz komplementarnie wykorzystujących usługi zaufania, został dostrzeżony i będzie wykorzystany. Trwają prace nad założeniami do kolejnych zmian prawnych, dających impuls do zasadniczego przeorientowania podejścia do usług opierających się na przepływie informacji, w taki sposób by informacja ta co do zasady była w postaci elektronicznej. Zakłada się, że filarami dla realizacji kolejnych zmian będą: wykorzystanie istniejących już w Polsce różnych środków identyfikacji elektronicznej sprawdzonych w praktyce uwierzytelniania w usługach online świadczonych przez podmioty prywatne (np. banki), szerokie wykorzystanie nowych usług zaufania, takich jak: pieczęć elektroniczna, konserwacja elektroniczna i usługa rejestrowanego doręczania elektronicznego, usunięcie wielu barier formalnych, które wymuszają tworzenie dokumentów papierowych lub powodują, że posługiwanie się nimi jest nieraz wygodniejsze, bardziej bezpieczne, a nawet tańsze. Stworzenie możliwości wykorzystania środków identyfikacji elektronicznej znanych obywatelom i wykorzystywanych przez nich w codziennej praktyce, także w usługach online świadczonych przez podmioty publiczne, to nie tylko wygoda dla obywateli, ale też pokonanie bariery braku powszechnego środka identyfikacji elektronicznej. Warto dodać, że posługując się znanym sobie środkiem identyfikacji elektronicznej, jego posiadacz będzie się doskonale orientował w zakresie sposobu jego działania, w tym także będzie znał zasady zachowania bezpieczeństwa dla tego środka. Postawy prawne dla tych kolejnych zmian będą konsekwentnie przygotowywane i wdrażane, także w oparciu doświadczenia innych krajów stosujących eidas, a w szczególności notyfikujących nowe rozwiązania. Przedkładany projekt ustawy jest zgodny z prawem Unii Europejskiej, Projektowana ustawa nie podlega notyfikacji zgodnie z trybem przewidzianym w przepisach dotyczących sposobu funkcjonowania krajowego systemu notyfikacji norm i aktów prawnych. 13